Politique de confidentialité
Dernière mise à jour : 21/07/2026
1. Préambule
La présente politique vous informe de la manière dont vos données personnelles sont collectées et traitées lorsque vous utilisez le site et l’application de la Commission Nationale d’Apnée (ci-après « le service »). Elle est établie conformément au Règlement général sur la protection des données (RGPD, articles 13 et 14) et à la loi française « Informatique et Libertés ».
Nous nous engageons à ne traiter que les données strictement nécessaires au fonctionnement du service.
2. Qui est responsable de vos données ?
Le responsable du traitement est :
- Fédération Française d’Études et de Sports Sous-Marins (FFESSM)
- 24 quai de Rive Neuve, 13284 Marseille Cedex 07
- SIRET : 775 559 909 00012
Pour toute question relative à vos données personnelles ou à l’exercice de vos droits, le point de contact dédié est president.apnee@ffessm.fr.
3. Quelles données collectons-nous ?
Nous collectons les données nécessaires à la création de votre compte, à sa sécurisation et à la gestion de votre participation sportive. Aucune donnée sensible au sens de l’article 9 du RGPD (origine, opinions, santé, etc.) n’est traitée.
| Catégorie | Données concernées | Origine |
|---|---|---|
| Identité | Adresse e-mail, nom, prénom | Fournies par vous (inscription, profil) |
| Données sportives | Numéro de licence, club d’appartenance, catégorie, résultats de compétition, records | Référentiels fédéraux et saisies des organisateurs |
| Authentification | Mot de passe (stocké uniquement sous forme hachée, jamais en clair), secrets de double authentification (code par e-mail, secret TOTP, codes de secours hachés), jetons de réinitialisation | Générées lors de la connexion et de la configuration de sécurité |
| Données techniques de sécurité | Adresse IP, type de navigateur et d’appareil, identifiants d’appareils de confiance, date de dernière connexion, journaux d’audit | Collectées automatiquement lors de votre utilisation |
| Préférences | Vos préférences de notification, par canal et par famille de notification | Définies par vous dans votre profil |
4. Pourquoi, et sur quelle base légale ?
| Finalité | Base légale (RGPD art. 6) |
|---|---|
| Gestion de votre compte et authentification | Exécution du contrat, ou mesures précontractuelles |
| Organisation des compétitions, inscriptions, classements et records | Exécution du contrat et intérêt légitime (mission sportive fédérale) |
| Sécurité : double authentification, appareils de confiance, protection contre les attaques par force brute, audit | Intérêt légitime et obligation légale |
| Notifications de service et de sécurité | Intérêt légitime ; consentement pour le canal des notifications navigateur |
| Traçabilité des actions sensibles (piste d’audit) | Obligation légale et intérêt légitime |
| Traitement de vos demandes RGPD | Obligation légale |
| Réservation de l’adresse e-mail après suppression, pour empêcher la réutilisation d’une adresse ayant appartenu à un compte supprimé. Seule une empreinte irréversible de l’adresse est conservée, jamais l’adresse en clair. | Intérêt légitime |
5. Qui a accès à vos données ?
Vos données sont accessibles aux personnes habilitées de la commission et de la fédération, dans la limite de leurs fonctions. Nous faisons appel à des sous-traitants qui agissent pour notre compte et sous notre responsabilité :
| Sous-traitant | Rôle | Localisation |
|---|---|---|
| PlanetHoster | Hébergement du site et de la base de données | France (Union européenne) |
| Sentry | Supervision technique des erreurs, aide au diagnostic | Union européenne |
Les résultats sportifs, classements et records ont vocation à être publiés : nom, prénom, club, catégorie et performances sont accessibles publiquement sur le site, ce qui est inhérent à l’organisation de compétitions sportives.
L’outil de gestion du code source et d’intégration continue ne traite aucune donnée personnelle de production. Nous ne vendons ni ne louons vos données à des tiers.
6. Vos données sont-elles transférées hors de l’Union européenne ?
Vos données sont hébergées dans l’Union européenne. À ce jour, aucun transfert hors de l’Union européenne n’est prévu. Si un sous-traitant venait à en impliquer un, celui-ci serait encadré par les garanties appropriées prévues par le RGPD (clauses contractuelles types notamment) et la présente politique serait mise à jour.
7. Combien de temps conservons-nous vos données ?
| Donnée | Durée de conservation |
|---|---|
| Compte utilisateur (identité, e-mail) | Durée de la relation, augmentée du délai légal applicable, puis anonymisation |
| Résultats de compétition, classements et records | Conservation durable, à des fins d’archive sportive et d’historique des records |
| Empreinte d’e-mail réservé | Indéfinie (donnée pseudonymisée, finalité anti-réinscription) |
| Appareils de confiance (2FA) | 60 jours d’inactivité |
| Jetons de rafraîchissement (API) | 30 jours |
| Jetons de réinitialisation de mot de passe | 1 heure |
| Journaux d’audit | Environ 3 ans |
| Demandes RGPD | Durée légale de conservation, à titre de preuve |
Au terme de la conservation, vos données sont anonymisées — les informations personnelles sont effacées tout en conservant la traçabilité légale — ou supprimées.
8. Comment vos données sont-elles sécurisées ?
- mots de passe hachés, jamais stockés en clair ;
- double authentification par code e-mail ou application d’authentification (TOTP), avec codes de secours et appareils de confiance ;
- connexions chiffrées (HTTPS/HSTS) et en-têtes de sécurité ;
- protection contre les tentatives de connexion répétées ;
- contrôle d’accès strict par rôles ;
- piste d’audit des actions sensibles ;
- gestion des secrets via un coffre-fort chiffré, analyse de sécurité régulière (scan de secrets, audit des dépendances) ;
- sauvegardes lors des déploiements.
9. Cookies et traceurs
Le service utilise uniquement des cookies strictement nécessaires à son fonctionnement et à votre sécurité. Le détail figure dans la politique cookies.
10. Accès d’un administrateur à votre compte
Pour vous porter assistance, un administrateur habilité peut, de façon exceptionnelle et encadrée, accéder à votre compte en se « mettant à votre place ». Par souci de transparence, dès qu’un tel accès a lieu :
- vous en êtes notifié par une notification de sécurité, qui ne peut pas être désactivée ;
- l’opération est horodatée et tracée dans le journal d’audit (identité de l’administrateur, début et fin de l’accès).
11. Vos droits
Vous disposez des droits d’accès, de rectification, d’effacement, de limitation, de portabilité et d’opposition. Les modalités concrètes pour les exercer sont détaillées sur la page vos données personnelles.
12. Modifications
Cette politique peut être mise à jour pour refléter les évolutions du service ou de la réglementation. La date de dernière mise à jour figure en tête de page.